Descripción general del modo multiempresa en Copilot Studio (versión preliminar)

[Este artículo es documentación preliminar y está sujeto a modificaciones].

Copilot Studio ahora admite el modo multiempresa. Esta nueva funcionalidad permite que un agente se utilice en un inquilino de Microsoft Entra diferente al que lo hospeda. El modo multiempresa cambia el comportamiento de un agente de Copilot Studio cuando se usan opciones específicas de autenticación. En este artículo se describe la autenticación en Copilot Studio y el papel que desempeña la autenticación en el modo multiempresa.

Importante

La característica de multiempresa de Copilot Studio está en versión preliminar pública y está claramente marcada en Copilot Studio para creadores. Tiene términos que se mencionan en el producto. Las características de versión preliminar pública no se admiten para su uso en una capacidad de disponibilidad general. Sin embargo, puede probar agentes de versión preliminar pública en la tienda de Teams/Agent conforme a directrices específicas. Los partners deben informar a sus usuarios finales que sus agentes utilizan la funcionalidad de versión preliminar, incluyendo un banner de Versión preliminar en el icono.

Los creadores de Copilot Studio pueden elegir entre tres opciones de autenticación para los agentes:

Método de autenticación	Description
Sin autenticación	Cuando seleccione el ajuste de configuración No Authenticaton en el área Autenticación y Configuración del agente, Copilot Studio permitirá a los usuarios externos usar agentes que crea y hospeda en la plataforma. Cuando activa esta configuración, el cliente desde el que el usuario accede al agente no pasa un token de acceso al agente. Es común encontrar este tipo de escenarios en sitios web en casos de autoservicio tipo P+F. Esta configuración permite que cualquier usuario tenga acceso al agente.
Autenticar con Microsoft	Esta opción utiliza una opción de autenticación integrada. El agente espera una identidad de Microsoft Entra ID del cliente. Teams y otros clientes de Microsoft envían esta identidad cuando autentican a usuarios con cuentas de Microsoft Entra profesionales o educativas. El agente utiliza esta identidad para permitir que el usuario obtenga acceso a su funcionalidad. Esta opción en Copilot Studio ofrece una experiencia de inicio de sesión único (SSO) entre el cliente, el agente y el usuario. El usuario no tiene que iniciar sesión primero para obtener acceso al cliente y luego una segunda vez para obtener acceso al agente.
Autenticar manualmente	Cuando se selecciona, esta opción indica explícitamente a Copilot Studio que no maneje o anticipe la identidad. El creador configura la autenticación para la opción de autenticación seleccionada. La autenticación manual se suele utilizar cuando no se emplea una identidad o cliente basado en Microsoft. P. ej., está integrando el agente en un sitio web o una aplicación nativa y quiere autenticar usuarios externos. Al utilizar la autenticación manual, puede seleccionar el tipo de autenticación: OAuth: al seleccionar OAuth, se solicita que el usuario que accede al agente desde el cliente se autentique mediante OAuth. Esto abre un flujo de inicio de sesión basado en los proveedores de identidad OAuth configurados por el creador. Una vez que el usuario inicia sesión correctamente, el agente recibe un token de acceso y puede usar el token en servicios descendentes y para la personalización. Opciones de identidad basadas en Microsoft Entra: hay opciones para identidad de servicio e identidad de usuario (por ejemplo, certificados y autenticación de usuario de Microsoft Entra). La autenticación de servicio se utiliza generalmente cuando el agente requiere su propia identidad. La entidad basada en el usuario se utiliza para obtener acceso a servicios aguas abajo que requieren autenticación. Los creadores de Copilot Studio pueden optar por configurar manualmente la autenticación de usuario con Microsoft Entra.

Importante

Para usar Microsoft Teams como canal en Copilot Studio, debe seleccionar Autenticar con Microsoft o Autenticación manual. Este requisito está diseñado para alinear los modelos de identidad. Teams requiere que el usuario siempre tenga la sesión iniciada, por lo tanto, los agentes de Teams no pueden ser anónimos. Lo mismo ocurre con todos los canales de Microsoft (por ejemplo, SharePoint).

Modo multiempresa

En modo de inquilino único, los usuarios de Microsoft Teams deben iniciar sesión y obtener acceso al agente de Copilot Studio utilizando el mismo inquilino en el que está alojado el agente en Copilot Studio. Si un usuario de otro inquilino (por ejemplo, example@zavainsurance.com intenta obtener acceso a un agente hospedado en example@contoso.com), el usuario recibe un mensaje del agente: "No tienes acceso para hablar con este bot." Póngase en contacto con el propietario."

Cuando habilita el modo multiempresa en Copilot Studio para un agente, los usuarios pueden obtener acceso al agente alojado en un inquilino desde otro inquilino de Microsoft Entra ID.

Esta característica está en versión preliminar pública. El modo multiempresa admite los agentes de Copilot Studio en Microsoft Teams y Microsoft 365 Copilot. El modo multiempresa permite detectar agentes en la Microsoft Teams Store global, donde los agentes se pueden usar desde los clientes cuando se encuentra en dos inquilinos diferentes.

Terminología

Cuando trabaja con agentes y entiende la autenticación, es importante separar los siguientes comportamientos:

• Autenticación de usuario a cliente: por ejemplo, cuando un usuario inicia sesión en un cliente de Teams o inicia sesión en un sitio web utilizando su cuenta de Microsoft. Esta autenticación no está estrictamente relacionada con el agente de Copilot Studio y ocurre fuera del agente.
• Autenticación de cliente a agente: el cliente transmite información al agente, y este espera información del cliente. Si configura el agente para inicio de sesión único (SSO), la autenticación es invisible para el usuario final del cliente. De lo contrario, se le solicita al usuario que inicie sesión por separado con el agente.
• Autenticación del agente a otros servicios autenticados: el agente necesita comunicarse con otros servicios y, en algunos casos, debe transmitir la identidad. Esa identidad puede ser la identidad del agente (entidad de servicio) si el agente tiene una identidad. De lo contrario, el agente puede usar la identidad del usuario cliente si tiene permisos para hacerlo, accediendo a recursos y realizando acciones (usando permisos delegados del usuario cliente que ha iniciado sesión).

También existe una opción de autenticación combinada, en la que el flujo de autenticación del agente puede ser controlado mediante temas en Copilot Studio utilizando el nodo Autenticar, que solicita al usuario iniciar sesión. La autenticación combinada solo está disponible cuando está seleccionada la opción Autenticar manualmente en Copilot Studio y cuando está desactivada la opción Exigir inicio de sesión a los usuarios.

Cuando use el modo multiempresa, utilice la siguiente terminología:

• El host es el entorno donde Copilot Studio está hospedado, desde donde se ejecuta y factura. El host es donde crea el agente de Copilot Studio. El host es también donde el agente atraviesa el ciclo de vida estándar del desarrollo de software mientras se desarrolla, prueba y traslada a un entorno de producción para su uso en producción. Este proceso no es diferente del caso de los agentes en modo de un solo inquilino.

• El cliente es donde obtiene acceso al agente. Esta aplicación cliente es como Microsoft Teams o Microsoft 365 Copilot. Desde estos clientes, el usuario accede y utiliza el agente, iniciando sesión usando Microsoft Entra ID. El cliente no requiere ni utiliza infraestructura de Power Platform, incluido Copilot Studio.

La siguiente documentación describe qué funcionalidad está soportada actualmente en la versión preliminar pública cuando el modo multiempresa está activado en Copilot Studio.

Funcionalidad admitida

La versión preliminar pública para multiempresa se lanza dentro de un alcance específico.

Cuando el agente está en modo de multiempresa, se comporta de forma diferente. No todas las características de Copilot Studio son compatibles. Las diferencias pueden deberse a la naturaleza de la funcionalidad (por ejemplo, el conocimiento de SharePoint no funciona entre entidades) o al ámbito de la "versión preliminar pública". En los apartados siguientes se ofrece más información al respecto.

Aspectos destacados:

• El modo multiempresa aún no admite autenticación del usuario final. Esta limitación significa que no se puede delegar el acceso para usar la identidad del usuario en comportamientos posteriores. El valor de esta característica es proporcionar información autenticada al agente desde la autenticación delegada utilizando otros servicios. Esta funcionalidad de diseño todavía no está disponible.
• Las transcripciones de conversaciones se desactivan cuando el modo multiempresa está activado. Esta restricción protege la privacidad de los inquilinos descendentes que utilizan el agente.
• Los clientes de host son responsables de la facturación del agente de Copilot Studio de la misma manera que lo hacen para el modo de un solo cliente. Los partners de Microsoft que se despliegan en la tienda global de Teams y agentes y que buscan diferentes patrones de trabajo con sus clientes finales, como cobrar por agentes en la Tienda global de Teams, deberían consultar con el Centro de partners para saber qué programas están disponibles.

La siguiente sección resume la funcionalidad que se sabe que funciona o no al usar el agente en modo multiempresa. Si algo no aparece aquí como funcionando, espera que no funcione en modo multiempresa. La funcionalidad en Copilot Studio no se modifica para funcionar de forma diferente cuando el modo multiempresa está activado. Por ejemplo, las políticas de datos siguen aplicándose en el inquilino anfitrión y las funcionalidades, si están soportadas, tienen el mismo conjunto de características que en el modo de un solo inquilino.

Conocimiento

• Carga de Dataverse: admitido en la versión preliminar pública entre inquilinos.
• Sitios web públicos: admitidos en la versión preliminar pública entre los inquilinos.

Herramientas

• Solicitudes: admitidas en versión preliminar pública entre los inquilinos.
• Conectores estándar limitados.: Para más información, consulte Autenticación.
• Conectores de API de REST: admitidas en versión preliminar pública entre inquilinos.

Nota

Los conectores personalizados, el uso de equipos, los flujos de agente y las herramientas MCP no son compatibles con el modo multiempresa.

Temas

• Variables de usuario: No están disponibles ni se admiten en la versión preliminar pública.
• Nodo de autenticación: Disponible solo para autenticación manual.
• Nodo HTTP: funciona para puntos de conexión públicos en versión preliminar pública para el modo multiempresa.

Canales

Los canales compatibles para la versión preliminar pública incluyen:

• Microsoft Teams
• Microsoft 365 Copilot

Autenticación

• Autenticación de usuario final: No admitida. El cliente solicita a los usuarios que abran el administrador de conexión, pero no puede completar la solicitud, ya que los dirige a su propio gestor de conexiones de Copilot Studio en una ubicación diferente de donde se encuentra el agente.
• OAuth: No es compatible con la autenticación manual.
• Conectores estándar de Graph/Microsoft 365: No admitidos.
• Conectores personalizados: No admitidos.
• Autenticación de creador (entidad de servicio) en herramientas estándar: admitida en versión preliminar pública.
• Autenticación manual con el id. de usuario y entidad de servicio de Microsoft Entra: no admitida con la versión preliminar pública.
• Usuarios invitados: No admitidos.

Otros detalles

• Solo se admiten conversaciones individuales. No se admiten conversaciones en grupo.
• No se admite Multi-Geo. En la versión preliminar pública, los agentes se hospedan en una única región de Dataverse, y el cumplimiento de residencia de datos sigue siendo responsabilidad del partner.
• Government Community Cloud (GCC) y GCC High no se admiten.
• La autenticación manual aún no está disponible (próximamente).

Nota

Tenga cuidado al utilizar la autenticación del fabricante en los conectores. La autenticación por creador en conectores puede exponer los detalles de su inquilino a terceros mediante direcciones URL, entre otros.

Análisis

• Análisis agregados: no disponibles en la versión preliminar pública.
• Datos de transcripción: no disponibles en la versión preliminar pública.
• Datos de la sesión descargables: no disponibles en la versión preliminar pública.
• Satisfacción, eficacia, visión general y reacciones: no disponible en la versión preliminar pública.

Nota

Las métricas del canal se basan en lo que Teams ofrece a través de las capacidades y la disponibilidad del canal.

Controles de administración

Controles de administrador para el inquilino de host de agente

El centro de administración de Power Platform (PPAC) administrar el modo multiempresa. Los administradores del inquilino anfitrión pueden impedir que los creadores habiliten el modo multiempresa para los agentes. Los administradores del inquilino anfitrión pueden navegar al área de aislamiento de inquilino en PPAC, que está desactivada de manera predeterminada. Cuando activa el aislamiento del inquilino, el inquilino está aislado y no puede usar el modo multiempresa. Si los administradores quieren permitir que solo un conjunto selecto de inquilinos establezcan conexiones hacia o desde su arrendatario, pueden activar el aislamiento de inquilinos y usar la lista de permitidos para especificar esos inquilinos para conexiones entrantes y salientes. Para obtener más información, consulte Restricciones cruzadas entrantes y salientes de inquilinos.

Si el aislamiento de inquilino está activado, el modo multiempresa no está disponible en Copilot Studio.

Otros escenarios:

• Si el aislamiento de inquilino está activado después de habilitar y publicar un agente, Copilot Studio muestra una notificación que explica que el agente ya no funciona como multiempresa. El agente entonces se comporta igual que un agente de inquilino único cuando otro inquilino intenta obtener acceso al mismo.
• Si el control de administrador está activado (para bloquear multiempresa), pero hay una entrada en la lista de permitidos, solo los inquilinos de la lista de permisos pueden obtener acceso al agente. El resto de inquilinos está bloqueado, igual que en el modo de inquilino único.
• Los controles de prevención de pérdida de datos se rigen por las directivas de datos del agente host.
• Copilot Studio permite desactivar el canal de Teams de un agente. Impide que el agente responda en el cliente de Teams.
• Si el canal Teams y Microsoft 365 Copilot está desactivado, esta acción interrumpe el servicio para su agente. Puede volver a activar su agente, ya que el Id. de su agente no ha cambiado. Es posible que deba completar el proceso de publicación nuevamente.
• Actualizar un agente se realiza igual que en Copilot Studio. Los creadores deben usar Publicar para aplicar los cambios al agente en uso. No es necesario publicar las actualizaciones en la tienda de Teams. Las directivas de la Tienda de Teams tienen sus propios requisitos sobre la actualización de un agente si se modifica cualquier metadato relacionado con el agente, por ejemplo, el propósito, los enlaces a los términos, entre otros.

Controles de administración para Copilot Studio en el cliente

En el inquilino cliente donde se utiliza el agente, no hay cambios para los administradores de Microsoft Admin Center (MAC). Los administradores de MAC controlan un CEA mediante Copilot Studio igual que los agentes de motor personalizados de código profesional.

Facturación y licencias

El inquilino anfitrión es responsable de la facturación. Esta responsabilidad es la misma que la de los agentes pro-code en la tienda y la de los clientes que despliegan agentes para sus propios usuarios. Para obtener más información sobre facturación, consulte Gestionar sesiones y capacidad.

Los inquilinos anfitriones deben gestionar su facturación como parte del producto y asegurarse de que disponen de los créditos y la configuración de facturación adecuados para admitir al público al que permiten el acceso.

El modo multiempresa solo se admite en versión preliminar pública por inquilinos host con una licencia completa de Copilot Studio.

Si el socio no dispone de suficiente capacidad de facturación y se queda sin créditos, el usuario final se ve afectado y recibe un mensaje de error del agente. Antes de que esto ocurra, se notifica a los administradores y se les pide que aborden el problema mediante una notificación automática. El número máximo de créditos y sesiones de Copilot Studio que puede asignar a un entorno es la cantidad más alta posible que puede otorgar.

Si socios o clientes publican su agente en la Tienda de Teams, la adopción del agente puede causar facturación inesperada si aumenta rápidamente (por ejemplo, a través de la Tienda de Teams u otros métodos de descubrimiento). Usted es responsable, como inquilino anfitrión, de este proceso y del agente, de la misma manera que al publicar agentes anónimos hoy en día en canales no autenticados (p. ej., en la web).

Prácticas de desarrollo de software

Como parte del proceso de gestión del ciclo de vida de la aplicación (ALM) de su agente, someta los agentes multiempresa en niveles superiores de prueba. Los agentes multiempresa tienen más áreas de funcionalidad que probar, ya que algunas áreas funcionan de manera diferente al modo de inquilino único.

Considera estas áreas al trabajar con agentes multiempresa en Copilot Studio:

• Configure sus entornos de desarrollo y establezca el proceso ALM recomendado, que incluye un entorno de desarrollo, un entorno de pruebas, un entorno de pruebas en un segundo inquilino y un entorno de producción.
• Planifique y configure su capacidad para los entornos. Además, planifique una estrategia proactiva para revisar y supervisar estos agentes.
• Si planea crear un agente multiempresa, asegúrese de tener un inquilino separado para pruebas, de modo que pueda probar la configuración específica en modo multiempresa accediendo al agente desde un inquilino diferente al inquilino en el que está hospedado el agente.
  • Puede cargar directamente su agente en su inquilino de cliente de prueba y configurar la directiva de aislamiento del inquilino en su administrador del Power Platform de host para trabajar de manera específica con la configuración de su entorno de prueba.
  • Un cliente o partner puede cargar paralelamente el paquete .ZIP que hace referencia a un agente que se ejecuta en Copilot Studio. El paquete .ZIP puede cargarse a través de Teams o Microsoft Centro de administración y gestionarse de la misma manera que los agentes de un solo inquilino en Copilot Studio.

Actualización del agente

Los agentes publicados en la Tienda de Teams solo requieren una republicación mediante el proceso de validación de la Tienda de Teams si hay cambios en los metadatos (por ejemplo, propósito, términos, enlaces, entre otros). Este requisito significa que, cuando se publica y se activa un agente que no es de Microsoft, está disponible para todos los usuarios actuales. Este requisito es el mismo para Copilot Studio que para otros canales y métodos de autenticación.

Exportar el manifiesto desde Copilot Studio

Cuando esté listo para probar el agente en Microsoft Teams o en el cliente Microsoft 365 Copilot en otro inquilino, necesitas poner el agente disponible en el segundo inquilino. Para las pruebas, un administrador de MAC o un usuario con permisos para cargar paralelamente el agente en su cliente (concedidos por un administrador de MAC en el segundo inquilino) debe cargar paralelamente el agente en el otro inquilino.

Puede restringir el acceso a los inquilinos de host usando la directiva de aislamiento de inquilinos del Centro de administración de Power Platform. Agregue la información de su inquilino de cliente de prueba cuando esté probando en sus propias instancias específicas y avanzando en el proceso de administración del ciclo de vida de la aplicación.

Para exportar el archivo ZIP de manifiesto, vaya a Canales en Copilot Studio, selecciona el canal Teams y Microsoft 365 Copilot y luego seleccione Editar detalles.

Puede editar el nombre, la descripción y otros detalles en el archivo de manifiesto que requieren Microsoft Teams y Microsoft 365 Copilot. El archivo del manifiesto contiene metadatos importantes sobre su agente, que el inquilino cliente ve al revisar a su agente para su uso en el inquilino.

Después de editar los detalles, seleccione Opciones de disponibilidad para exportar el archivo .ZIP.

Esta acción descarga un archivo zip en su máquina. El archivo .ZIP tiene archivos de color de icono y de manifiesto. También puede editar el manifiesto manualmente. Mientras la característica esté en versión preliminar pública, los creadores deben editar el manifiesto, específicamente el nodo Valid Domains. Para obtener más información, consulte Hacer que su agente esté disponible en Teams o Microsoft 365 Copilot.

Contenido relacionado

• Hacer que su agente esté disponible en Teams o Microsoft 365 Copilot: este artículo incluye documentación sobre la carga lateral y publicación en la tienda de Teams global.
• Procedimientos recomendados, solución de problemas e información adicional: Este artículo incluye orientación sobre el ciclo de vida del desarrollo de software al crear agentes, consideraciones, solución de problemas e información sobre la hoja de ruta.